XSS — атаки на веб‑системы типа «межсайтовый скриптинг»
XSS‑атаки — это внедрение в страницу вредоносного кода, который будет выполнен на компьютере пользователя при открытии им этой страницы.
Как правило, вредоносный код нацелен на аутентифицированных пользователей и использует авторизацию в веб‑системе для получения к ней расширенного доступа. Ещё одна разновидность использования — кража реквизитов доступа (логинов и паролей). XSS‑атака может быть осуществлена как через уязвимость приложения или веб‑сервера, так и через уязвимость на компьютере конечного пользователя. XSS‑атаки весьма популярны: это один из наиболее распространённых типов атак на веб‑системы.
XSS‑уязвимости очень опасны: злоумышленник может получить доступ к данным на странице или в cookies (если для них не задан флаг HttpOnly), а там вполне могут быть весьма ценные данные (например, идентификатор сессии с административным доступом к системе или номера платёжных карт). Кроме того, если нет защиты от CSRF, атакующий может выполнить любые действия, доступные пользователю, и сделать это от его имени (например, перевести средства, рассылать спам и т. п.). На популярных сайтах XSS‑уязвимости могут быть использованы для DDoS‑атак — на сам сервис или на какой‑либо другой ресурс.
Наиболее часто эксплуатируются такие уязвимости на сайтах, где пользователи могут публиковать свой контент, делая его доступным для других. Злоумышленник, при отсутствии должной фильтрации, может либо напрямую использовать уязвимость, либо заражать браузеры пользователей. Разработчики, для предотвращения атак этого типа, должны либо просто ограничивать возможность публиковать на сайте что‑либо, либо тщательно фильтровать поступающие от пользователей данные.
Тематические статьи
Информационная безопасность — обеспечение конфиденциальности, целостности и доступности информации. Конфиденциальность — обеспечение исключительно авторизованного доступа к информации: информация не должна предоставляться и не должна раскрываться неавторизованным физическим лицам, организациям или процессам. Целостность — поддержание и обеспечение точности и полноты данных на протяжении всего жизненного цикла: данные не должны быть изменены неавторизованным или незаметным способом. Доступность — обеспечение беспрепятственного доступа к информации авторизованным пользователям: системы хранения и обработки информации, интерфейсы работы с информацией, системы обеспечения авторизованного доступа и каналы связи должны функционировать корректно.
В статье мы рассмотрим мотивацию атакующих и проведем их классификацию. Также классифицируем основные методы атак, оценим их риски и возможные последствия. К сожалению, от атак не застрахован ни один веб‑проект. Даже если ваш сайт ничем не интересен профессиональным хакерам (реальных денег нет, данных мало и они не особо ценные), если проект не вызывает яркие негативные эмоции у кого‑либо, а монетизация возможной атаки ничтожна по прибыльности, то всё это лишь снижает риски, и всё равно проекту не избежать автоматизированных атак с целью захвата вычислительных ресурсов или для перенаправления трафика.
Информационная безопасность важна практически для любого бизнеса, так как деятельность почти всех компаний достаточно существенно зависит от информационных технологий. Взломы, утечки данных и неработоспособность ключевых систем приводят как к финансовым потерям, так и к репутационным издержкам. Чтобы снизить риски в сфере ИБ, стоит внедрять базовые процессы ИБ в разработку, тестирование и системное администрирование.
В современном цифровом мире кибербезопасность стала неотъемлемой частью каждой организации. В этой статье мы разберём типы и принцип работы систем предотвращения вторжений (Intrusion Prevention Systems, IPS).
В условиях высокого уровня угроз в сфере информационной безопасности крайне важно иметь надежные инструменты для защиты корпоративных информационных систем. Одним из таких механизмов, которому на протяжении многих лет уделяется значительное внимание, являются системы обнаружения вторжений (Intrusion Detection Systems, IDS).
SQL‑инъекции — это один из распространённых способов взлома сайтов и веб‑приложений, работающих с реляционными базами данных. SQL‑инъекции основаны на внедрении в выполняемый приложением запрос к базе данных произвольного SQL‑кода, переданного злоумышленником. Последствиями SQL‑инъекций могут стать кража, модификация или удаление данных, а также полный взлом атакуемой системы — например, получение привилегированного доступа.